H3C三层核心交换机
- 0关注
- 0收藏，195浏览
地址池租约时间设置的8小时。
dhcp enable
dhcp server ip-pool vl3
network 192.168.3.0 mask 255.255.255.0
gateway-list 192.168.3.254
dns-list 223.5.5.5 114.114.114.114
expired day 0 hour 8
quit
dhcp server forbidden-ip 192.168.3.230 192.168.3.253
vlan 3
quit
interface Vlan-interface 3
ip add 192.168.3.254 255.255.255.0
dhcp select server global-pool
dhcp select server
quit
这是其中一个VLAN的DHCP的配置代码
现象总结： 1、绝大多数终端正常，仅极个别无线终端偶发故障；DHCP 拿到 IP、子网掩码、网关全部正确，终端 ARP 看到网关 MAC 也是正确，但不能跨 VLAN、不能上网； 2、把同一 IP 手工设置静态，立刻全部正常；再改回 DHCP 获取，同样 IP 也正常；有线终端基本不出现，问题集中无线 STA。 3、内网同 VLAN 互通正常，只是跨三层转发异常。
本质：不是 IP 地址、网关配置错；是 ARP / 安全表项、无线侧 DHCP 租约 / 探测、接入层安全功能（ARP‑Detection、MFF、DHCP‑Snooping）表项不同步。 手工静态→再切 DHCP 这个动作，会触发终端重新发送 ARP、重新完成 DORA，刷新交换机上的 Snooping/ARP‑Detection 绑定表，故障就临时消失。
按优先级根因分析
原因 1：接入交换机开启 arp‑detection(ARP入侵检测) + DHCP‑Snooping（最高概率，无线场景高频）
- 机制：
arp‑detection依靠DHCP‑Snooping 绑定表校验 ARP 报文；只有终端完成完整 DHCP DORA 流程，交换机才生成 IP‑MAC‑PORT‑VLAN 绑定表；后续终端 ARP 报文才允许转发。 - 故障场景（无线特有）：
无线终端从旧 AP 漫游过来、或者快速重连 Wi‑Fi，终端直接沿用旧 DHCP 租约，只发 DHCP‑REQUEST 续租，不再完整走 Discover‑Offer‑Request‑Ack 完整四步。
👉 接入交换机不会刷新 / 生成 DHCP‑Snooping 绑定条目。
👉 终端拿到 IP、网关、ARP 表显示网关 MAC 正确，但是终端发出的业务 ARP 报文被
arp‑detection丢弃；同 VLAN 二层互通少量流量可以，跨 VLAN 三层转发直接不通。 👉 改成静态 IP 再切 DHCP：强制终端完整重新跑一遍 DORA，交换机生成 snooping 绑定表，ARP 报文放行，业务恢复H3C。
验证命令（接入交换机）
display dhcp‑snooping binding user‑table #看故障终端IP‑MAC是否存在绑定表
display arp‑detection statistics attack‑source #看是否存在该STA被丢弃统计
原因 2：MFF（mac‑forced‑forwarding）功能表项不同步
接入 VLAN 开启 MFF，MFF 依赖 DHCP‑Snooping 表；无线终端续租不做完整 DORA，MFF 没有生成该终端表项，跨 VLAN 三层流量无法代答转发；静态再切 DHCP 触发完整 DORA 修复表项。
原因 3：无线终端侧 DHCP 地址冲突探测（ARP Probe）
部分手机 / 物联网无线终端拿到 DHCP 分配 IP 后，会做免费 ARP 探测 IP 是否冲突；探测报文在 AP / 接入交换机被丢弃，终端内部 TCP/IP 栈状态异常，三层转发失效；重新静态‑DHCP 切换重置终端协议栈恢复。
原因 4：核心 DHCP 地址池未开启地址冲突检测，存在隐性 IP 冲突
有设备静态占用 DHCP 池内 IP；终端拿到该 IP，虽然本地 ARP 看到网关正确，但回程流量被冲突设备抢占；重新申请（静态再切 DHCP）拿到别的 IP 就恢复。
display ip pool interface VlanifXX conflict
原因 5：AP/AC 侧 VLAN 下发偶发滞后（少量场景）
终端已经完成 DHCP 获取，但 AP 上 VLAN 还未刷新，业务报文短暂打在错误 VLAN；重获取租约修复。
整改方案（生产落地）
方案 A（ARP‑Detection 场景，优先）
- 无线接入 VLAN 开启
arp‑detection时，增加宽容机制：
vlan 10
arp‑detection enable
arp‑detection dhcp‑snooping‑valid‑interval 86400
延长 snooping 绑定表老化时间，适配无线终端续租场景；
- 无线 AC 侧，SSID 下开启：终端下线后清除 DHCP 租约，漫游时尽量触发完整 DHCP 流程（部分无线终端做不到）；
- 接入上行连接 AP/AC 的端口配置
arp‑detection trust；AP 过来的无线用户流量不要做 arp‑detect 校验（很多现场漏配）。
❗重要：AP 上联接入交换机的端口，必须配置：
interface GigabitEthernet 1/0/x
arp‑detection trust
dhcp‑snooping trust
无线用户所有报文从这个端口进来，如果不配置 trust，所有无线 STA 的 ARP 全部要匹配 snooping 表，极易出现该故障。
方案 B（MFF 场景）
如果 VLAN 下配置mac‑forced‑forwarding auto，确认 AP 上联口配置为mac‑forced‑forwarding network‑port，否则无线用户 MFF 表项无法生成。
方案 C DHCP 服务器侧优化（核心交换机做 DHCP Server）
dhcp server ip‑pool xxx
address conflict‑detect enable #开启地址冲突检测
lease day 3 hour 0 minute 0
dhcp server database enable #保存租约，防止设备重启租约丢失
方案 D 无线侧规避
在 AC 上调整无线参数，减少终端漫游后直接续租旧租约的现象；对物联网老旧无线终端尤为重要。
排查步骤和命令：
1. 在核心交换机上查看ARP表项是否完整：
display arp | include <问题IP>
确认该IP对应的MAC和VLAN接口是否正确。
2. 查看DHCP地址池租约状态：
display dhcp server ip-in-use
确认该IP是否被正常分配，租约是否异常。
3. 检查VLAN接口配置：
display interface Vlan-interface
确认IP地址和掩码正确，接口UP。
4. 抓包分析：
在终端上ping网关，同时在核心交换机上镜像端口抓包，看ARP请求是否有响应。
常见原因：
终端ARP缓存异常：DHCP获取地址后，终端可能缓存了错误的网关ARP表项，导致跨VLAN不通。静态配置时ARP重新学习，恢复正常。
交换机ARP表项老化或冲突：DHCP分配地址时，交换机上可能残留旧ARP表项，导致转发异常。
DHCP交互不完整：终端获取IP后，未完成网关ARP解析，或DHCP ACK中网关信息异常。
解决建议：
1. 在核心交换机上开启ARP主动确认或调整ARP老化时间：
arp timer aging <时间>
2. 在VLAN接口下开启ARP代理或ARP防欺骗功能（视具体型号）：
arp anti-attack valid-check enable
3. 终端侧清理ARP缓存：
Windows: arp -d
移动设备：重启WiFi或忘记网络重连。
4. 升级核心交换机软件版本到最新稳定版，修复可能的ARP/DHCP相关bug。
如果问题频繁出现，建议在核心交换机上做端口镜像抓包，重点看DHCP ACK和ARP交互过程。
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明